Mönsterkryptering: Hur att rita en form skyddar dina filer

Vaultaire serialiserar en form ritad på ett 5×5 rutnät och bearbetar den med PBKDF2-HMAC-SHA512, 600 000 iterationer och ett apparatomfattande salt lagrat i iOS Keychain. 256-bitarsresultatet är en valvnyckel: det krypterar valvindexet och packar upp den separata slumpmässiga huvudnyckeln som AES-256-GCM används för filinnehåll och metadata.

Vad är Mönsterkryptering?

De flesta valvappar gömmer sig bakom en PIN-kod eller ett lösenord. Du skriver in fyra siffror och dina bilder visas. Låter säkert nog, eller hur?

Här är problemet: en fyrsiffrig PIN-kod har exakt 10 000 möjliga kombinationer. En dator kan prova varenda en på under en sekund. Sex siffror? En miljon kombinationer. Fortfarande trivialt snabb för modern hårdvara. Till och med ett lösenord på åtta tecken, om det bara använder små bokstäver, ger dig cirka 200 miljarder möjligheter. Det låter mycket tills du lär dig att en vanlig bärbar dator kan testa miljarder lösenords-hashar per sekund.

Mönsterkryptering har ett fundamentalt annorlunda tillvägagångssätt. Istället för att skriva tecken i en ruta, ritar du en geometrisk form över ett rutnät av punkter. Den specifika vägen du spårar - vilka punkter du rör, i vilken ordning, med vilken geometri - blir indata till en lösenordsbaserad nyckelhärledningsfunktion. Resultatet kontrolleras inte bara av gränssnittet: det måste låsa upp ett autentiserat krypterat index och den slumpmässiga huvudnyckeln inuti det.

Distinktionen spelar roll. När du anger en PIN-kod i vissa appar kontrollerar appen bara om du har skrivit rätt nummer. Om du gjorde det öppnas den, även om filerna kanske skyddas huvudsakligen av åtkomstkontroll. Vaultaire matar istället in det ritade mönstret PBKDF2 för att härleda en 256-bitars valvnyckel. Den nyckeln måste autentisera och dekryptera valvindexet innan den kan packa upp den slumpmässiga huvudnyckeln som används på filerna. Ett oigenkänt mönster presenteras som ett tomt valv, men det underliggande AES-GCM autentisering skiljer fortfarande en korrekt nyckel från en felaktig.

Hur det fungerar, steg för steg

Här är vad som händer från det ögonblick ditt finger rör vid skärmen till det ögonblick dina filer blir oläsliga för alla andra.

Steg 1: Du ritar ditt mönster

Vaultaire presenterar ett 5×5 rutnät av prickar. Du ritar en kontinuerlig bana som förbinder minst 6 punkter med minst två riktningsändringar. Appen registrerar exakt vilka prickar du besökte och i vilken ordning. Denna sekvens är ditt mönster.

Till skillnad från de 3×3-rutnät som vanligtvis används för Android-låsskärmar, använder Vaultaire ett 5×5-rutnät. Detta är inte ett kosmetiskt val. Tjugofem positioner tillåter mycket fler stigar, korsningar, överhoppningar och riktningsändringar än nio positioner. Det större teoretiska utrymmet hjälper, men den faktiska säkerheten beror fortfarande på oförutsägbarheten i den väg du väljer. En bekant bokstav eller enkel form förblir gissningsbar även när rutnätet kan uttrycka miljarder alternativ.

Steg 2: Mönstret härleder en valvnyckel

Ditt ritade mönster serialiseras med rutnätsstorleken och matas in PBKDF2 (Lösenordsbaserad nyckelhärledningsfunktion 2) med HMAC-SHA512, 600 000 iterationer och ett slumpmässigt enhetsomfattande salt. Saltet är ett icke-hemligt värde som lagras i iOS Keychain som WhenUnlockedThisDeviceOnly-objekt. Det gör den lokala härledningen enhetsbunden; det är inte unikt för varje valv och lägger inte till entropi till ett mänskligt valt mönster.

Nyckelhärledningsprocessen är medvetet dyr. PBKDF2 går på 600 000 HMAC-SHA512 upprepningar för varje kandidatmönster, vilket höjer kostnaden för en gissatack. Detta förvandlar inte ett lågentropimönster till 256 bitars säkerhet, och attacktiden beror på angriparens hårdvara. Dess syfte är smalare och mätbart: göra varje gissning betydligt dyrare än en enkel hash.

Steg 3: Dina filer krypteras

När valvet först skapas genererar Vaultaire en slumpmässig 256-bitars huvudnyckel. Den mönsterhärledda valvnyckeln krypterar indexet och lindar den huvudnyckeln; den krypterar inte varje fil direkt. Huvudnyckeln används med AES-256-GCM för filrubriker, innehåll, miniatyrer och relaterad metadata. Färska nonces säkerställer att upprepad klartext inte producerar upprepad chiffertext under samma nyckel.

GCM-läge lägger till ett viktigt lager: autentisering. Det förvränger inte bara dina data, det genererar också en tagg som upptäcker eventuell manipulering. Om en enda bit av den krypterade filen modifieras kommer dekrypteringen att misslyckas. Ingen kan manipulera dina filer utan att du vet det.

Steg 4: Aktiv nyckelstatus rensas

När Vaultaire låser sig rensar den dess aktiva valv och huvudnyckeltillstånd och kräver ytterligare en upplåsningsceremoni innan filerna visas igen. Medan valvet är öppet, existerar de symmetriska nyckelbytena nödvändigtvis i appprocessen CryptoKit kan utföra AES-GCM verksamhet. Vaultaire förvarar också återställningsinformation, inklusive mönstret och det fraskrypterade återställningskuvertet, i ett AES-GCM krypterad databas lagrad i iOS Keychain. Det skiljer sig väsentligt från att påstå att mönstret och varje nyckelkopia inte lagras någonstans.

Matematiken bakom det (på vanlig engelska)

Du behöver ingen datavetenskaplig examen för att förstå varför detta fungerar. Säkerheten kommer ner till tre siffror: hur många mönster som är möjliga, hur lång tid varje gissning tar och hur många gissningar en angripare kan göra.

Entropi: Måttet på oförutsägbarhet

Entropi är ett fint ord för “hur svårt är detta att gissa.” En myntvändning har 1 bit entropi (två utfall). En fyrsiffrig PIN-kod har cirka 13 bitar av entropi (10 000 utfall). Ett väl valt mönster på ett 5×5-rutnät, som förbinder 8 eller fler punkter, kan överstiga 30 bitar av entropi, mer än en miljard möjliga mönster.

Mönstrets entropi sätter taket för en gissatack. PBKDF2 kan inte skapa entropi som gesten inte innehåller, men det kan göra varje kandidat mycket dyrare att testa.

Nyckelhärledning: Att göra gissningar dyrt

PBKDF2 tar det serialiserade mönstret och kör 600 000 omgångar av HMAC-SHA512. Attackuppskattningar måste använda en uppmätt kostnad på hårdvaran som gissar: vid exakt 1 ms per komplett kandidat skulle 1 000 000 000 kandidater ta 1 000 000 s, eller cirka 11,6 dagar, på 1 arbetare. En långsammare uppmätt kandidatkostnad ökar den tiden; parallell hårdvara minskar det. Utdatalängden på 256 bitar ändrar inte storleken på mönstersökutrymmet.

Det enhetsomfattande saltet förvaras i Keychain och är inte utformad för att vara hemlig. Keychain och iOS Dataskydd kan göra extraheringen svårare i ett scenario med enhetsbeslag, men den kryptografiska analysen måste anta att en granskare som skaffar de krypterade filerna också kan förvärva saltet. Saltet förhindrar förberäkning över enheter; det är inte en ersättning för ett starkt mönster.

AES-256: Standarden som regeringar litar på

AES-256 är den krypteringsstandard som används av den amerikanska regeringen för sekretessbelagd information. “256” hänvisar till nyckellängden i bitar. En 256-bitars nyckel har 2²⁵⁶ möjliga värden, ett antal så stort att om varje atom i det observerbara universum var en dator, och varje dator kunde testa en biljon nycklar per sekund, skulle de fortfarande inte knäcka den innan universums värmedöd.

Säkerheten för AES-256 är inte beroende av att hålla algoritmen hemlig. Men hela systemet skyddas inte enbart av AES-nyckelutrymmet: den praktiska gissningsgränsen kommer från mönstrets entropi, PBKDF2 arbetsfaktor, och skyddet kring enhetens salt och krypterad lagring. AES-256-GCM ger stark autentiserad kryptering när den korrekta slumpmässiga huvudnyckeln har låsts upp.

Varför ingen kan slå igenom

Låt oss överväga de huvudsakliga sätten någon kan försöka komma åt dina krypterade filer på, vad Vaultaire gör för att höja kostnaderna och var gränserna kvarstår.

Brute Force: Provar varje mönster

PBKDF2 får varje mönsterkandidat att betala för 600 000 HMAC-SHA512 iterationer. Det är ett meningsfullt försvar, men inte ett löfte om ett bestämt antal år: resultatet beror på mönsterval, uppmätt härledningshastighet, parallellitet och om granskaren har återvunnit apparatsaltet. Längre, mindre förutsägbara vägar spelar roll eftersom PBKDF2 höjer gissningskostnaden snarare än att skapa ny entropi.

Smudge Attacks: Läser din skärm

På ett 3×3 rutnät kan fläckmärken på en skärm minska de möjliga mönstren avsevärt. På ett 5×5-rutnät avslöjar fläckmönstret vilka punkter som berördes men inte ordningen, riktningen eller kopplingarna mellan dem. Den kombinatoriska explosionen gör detta tillvägagångssätt opraktiskt.

Axelsurfing: Ser dig rita

Mönster som ritas snabbt på en liten telefonskärm är extremt svåra att memorera genom observation, särskilt på ett 5×5-rutnät. Forskning visar att observatörer har mycket svårare att replikera komplexa mönster jämfört med att höra en PIN-kod eller ett lösenord som läses upp.

Enhetsbeslag: Tar din telefon

Om någon tar din telefon finns Vaultaires filinnehåll och index kvar AES-GCM chiffertext tills de nödvändiga nycklarna är tillgängliga. Appen lagrar inte en vanlig lösenordsverifieringspost, men det tar inte bort offlineverifiering. Filnamnet för varje krypterad valvindex innehåller en trunkerad hash av valvnyckeln, och AES-GCM Autentiserad dekryptering lyckas eller misslyckas också för en kandidatnyckel. Enhetsskydd och mönsterstyrka förblir därför en del av hotmodellen.

Välja ett starkt mönster

Krypteringen är bara så stark som mönstret du väljer. Så här maximerar du din säkerhet med minimal ansträngning.

Vad gör ett mönster starkt

• Använd fler punkter.Anslut minst 8 av de 25 tillgängliga prickarna. Varje ytterligare prick multiplicerar antalet möjliga mönster.
• Korsa din egen väg.Mönster som går tillbaka, hoppar över prickar eller ändrar riktning oväntat är mycket svårare att återskapa från minne eller observation.
• Undvik uppenbara former.Bokstäver (L, Z, S), enkla geometriska former (fyrkanter, trianglar) och raka linjer är det första en angripare skulle prova.
• Använd hela rutnätet.Mönster som stannar i ett hörn eller längs ena kanten slösar bort den tillgängliga entropin. Sprid ut sig.

Vad man bör undvika

• Mönster med minsta längd. Vaultaire kräver minst 6 punkter och två riktningsändringar, men att uppfylla miniminivån gör inte en väg oförutsägbar. Använd mer av rutnätet när du kan komma ihåg resultatet på ett tillförlitligt sätt.
• Enkla geometriska former.En L-form, en sicksack eller en rak diagonal linje är mönstermotsvarigheterna till “password123.”
• Börjar från samma hörn varje gång.Forskning om Android-låsmönster visar att de flesta börjar från den övre vänstra punkten. Angripare vet detta.

The Sweet Spot

Ett mönster som förbinder 8–12 punkter med minst två riktningsändringar ger utmärkt säkerhet samtidigt som det är enkelt för dig att komma ihåg genom muskelminnet. Du behöver inte memorera det som ett lösenord, din hand kommer ihåg rörelsen, på samma sätt som den kommer ihåg hur du skriver din signatur.

Varför du ska känna dig säker

Mönsterkryptering i Vaultaire är inte bara en snyggare PIN-kod. Gesten bearbetas av en verklig nyckelhärledningsfunktion och måste låsa upp autentiserad krypterad data. Dess styrka beror fortfarande på vilken gest du väljer, så Vaultaire kombinerar det större rutnätet med ett högt PBKDF2 arbetsfaktor istället för att presentera 256-bitars utdatalängd som 256 bitar av mänsklig hemlig entropi.

Ditt mönster och din lokala valvnyckel skickas inte till Vaultaire. Om valfri säkerhetskopiering är aktiverad, krypterar en separat mönsterhärledd säkerhetskopieringsnyckel CloudKit poster och ett krypterat återställningsmanifest låter återställningsfrasen återställa valvet och reservnycklarna. Vaultaire har ingen leverantörsnyckel som dekrypterar dessa poster, men enheten och återställningsuppgifterna förblir säkerhetskritiska delar av designen.

Du ritar en form. Den formen skyddar dina filer. Matematiken gör resten.